[Michael]

monkkey, cпасибо.
Но тогда вопрос - почему если изначально запрета нет и пользователь может создавать компьютер объекты, то при просмотре действующих разрешений конкретного пользователя у него не отображается это разрешение? Или срабатывает принцип "разрешено то, что не запрещено"? И еще - зачем нужна подобная практика ввода компьютеров в домен простыми пользователями, если можно дать разрешение конкретному пользователю при создании компьютера в AD?

[monkkey]

qwerty123123,
Вопросы не ко мне, а к создателям Windows. Разрешение не отображается потому, что в ГП Computer Settings - Windows settings - Security Settings - User Rights Assignment - Add workstations to domain - Properties - Explain написано
Default: Authenticated Users on domain controllers.
А расписывать все галочки, наверное, им было слишком сложно )))

[altnboy]

qwerty123123, Можно. Правой кнопкой по домену - Security - Advanced - находим группу Autheficated Users, Edit - ставим галку Deny в строке Create Computer Objects, что перекроет заданное по умолчанию разрешение добавлять компьютеры в домен. »

Уважаемый monkkey , а в какой оснастке надо щелкнуть правой кнопкой?

[Michael]

altnboy, в Active Directory - пользователи и компьютеры выбрать вид и поставить галочку "Дополнительные функции", после этого ПКМ на домене -> Свойства и далее по тексту